Journalisation des traitements de données : durées de conservation et exigences de sécurité

La recommandation précise que la journalisation participe à l’obligation de sécurité prévue par les articles 5 et 32 du RGPD, ainsi que par les articles 99, 101 et 121 de la loi informatique et libertés selon le régime applicable. Elle recommande d’enregistrer l’auteur identifié, l’horodatage, la nature de l’opération et la référence des données, sans dupliquer inutilement celles-ci.

Les journaux doivent être séparés du système principal, protégés contre l’écrasement et accessibles selon le principe de stricte nécessité. La durée de conservation recommandée est comprise entre six mois et un an dans le cas général. Une durée supérieure doit être proportionnée à une finalité de contrôle interne, justifiée par les risques, documentée et encadrée par des procédures d’analyse et d’investigation ; une durée maximale de trois ans peut être admise dans les cas courants.

Toute finalité distincte de la sécurisation doit être précisément justifiée afin d’éviter un détournement de finalité. Les journaux doivent garantir confidentialité, disponibilité et intégrité, notamment par un horodatage et une signature dès leur création. Les utilisateurs habilités doivent être informés du dispositif, des données collectées et de leur durée de conservation. L’article 30 du RGPD et l’article 100 de la loi informatique et libertés permettent une inscription dans le registre du traitement principal ou dans une entrée spécifique pour une journalisation transversale.

⬇️Télécharger la décision version officielle

La CNIL adopte une recommandation sur la conservation et l’utilisation des données de journalisation. Elle précise les informations à enregistrer, les mesures de sécurité et les durées adaptées aux finalités, en distinguant notamment les contrôles internes, les obligations légales, les analyses post-attaque et les besoins probatoires. Elle encadre aussi l’information des utilisateurs, les accès, la documentation, le registre des traitements et les sous-traitants.

La CNIL adopte une recommandation consacrée aux modalités de conservation et d’utilisation des données de journalisation. Le document concerne les journaux applicatifs liés à des traitements de données à caractère personnel, à l’exclusion de la journalisation périmétrique et des traitements ayant pour finalité principale la journalisation.

La recommandation décrit les informations à enregistrer, les mesures de séparation et de sécurité, ainsi que les durées de conservation adaptées aux finalités poursuivies. Elle distingue le cas général, les contrôles internes et les situations justifiant une conservation prolongée, notamment une obligation légale, une analyse post-attaque ou une finalité probatoire.

Elle prévoit également l’information des utilisateurs habilités, l’encadrement des accès, la documentation des procédures, l’intégration au registre des traitements et la prise en compte des sous-traitants.

• Identifier individuellement l’auteur de chaque opération journalisée.
• Enregistrer l’horodatage, la nature de l’opération et les données concernées.
• Limiter la collecte et éviter la duplication des données du traitement principal.
• Séparer les journaux du système principal et restreindre les droits d’accès.
• Proportionner la durée de conservation à la finalité et aux risques.
• Documenter toute durée supérieure ou toute finalité distincte.

• Échanges avec les parties prenantes sur les pratiques de journalisation.
• Résultat de la consultation organisée par la Commission.
• Analyse des risques liés aux accès et détournements de finalité.
• Évaluation des besoins de détection et d’analyse post-attaque.

Le responsable de traitement doit organiser une journalisation proportionnée, sécurisée et documentée, tout en informant les utilisateurs habilités. Le sous-traitant doit être contractuellement tenu de respecter ces exigences lorsque le traitement lui est confié.n

• Enregistrer les opérations avec auteur, horodatage et nature.
• Séparer les journaux et limiter les accès selon la nécessité.
• Fixer une durée adaptée à la finalité poursuivie.
• Formaliser les alertes, investigations et règles de réutilisation.
• Prévoir la journalisation dans le contrat de sous-traitance.

À faire

• Identifier précisément les opérations à journaliser.
• Horodater et signer les journaux dès leur création.
• Séparer les journaux du système principal.
• Documenter les durées et finalités de conservation.
• Informer les utilisateurs habilités du dispositif.

À éviter

• Dupliquer inutilement les données du traitement principal.
• Autoriser l’écrasement des journaux existants.
• Accorder des accès sans nécessité stricte.
• Conserver les traces au-delà d’une durée justifiée.
• Réutiliser les journaux pour une finalité non documentée.

Les articles 5 et 32 du RGPD applicables à la journalisation

nLa journalisation contribue à la sécurisation des traitements de données à caractère personnel. Elle doit être proportionnée aux risques, limiter les données collectées et garantir la confidentialité, la disponibilité et l’intégrité des journaux. La recommandation préconise l’identification de l’auteur, l’horodatage, la nature de l’opération et la référence des données concernées, sans duplication inutile.n

Les durées proportionnées de conservation des journaux

nDans le cas général, une durée comprise entre six mois et un an est recommandée. Une durée supérieure à un an peut être justifiée pour un contrôle interne si le responsable démontre un risque de détournement de finalité et dispose de procédures documentées d’analyse et d’investigation. Dans les cas courants, trois ans au maximum peuvent être justifiés.n

Les garanties contre le détournement de finalité

nToute réutilisation à une autre fin que la sécurisation doit être précisément justifiée. Le responsable doit documenter les finalités, limiter les accès, formaliser les règles d’utilisation, informer les utilisateurs habilités et adapter la durée de conservation. Une durée prolongée peut aussi reposer sur une obligation légale, une finalité probatoire ou une analyse d’impact démontrant sa nécessité.

Article 5 du RGPD, Article 32 du RGPD, Article 15 du RGPD, Article 30 du RGPD, Article 9 du RGPD, Article 8-I-2°-b) de la loi n° 78-17 du 6 janvier 1978, Article 99 de la loi n° 78-17 du 6 janvier 1978, Article 100 de la loi n° 78-17 du 6 janvier 1978, Article 101 de la loi n° 78-17 du 6 janvier 1978, Article 121 de la loi n° 78-17 du 6 janvier 1978, Article 6 de la loi n° 78-17 du 6 janvier 1978